IBM Maximo Application Suite es una potente plataforma para la gestión de activos y, al implementar Maximo en su organización, la seguridad siempre debe ser una prioridad máxima. Un elemento clave de la seguridad es elegir el mecanismo de autenticación adecuado para su instancia de Maximo. Maximo admite varios tipos de autenticación y la mejor opción depende de las necesidades, la infraestructura y las políticas de seguridad de su organización. En este blog, analizaremos los tipos de autenticación disponibles en Maximo, sus ventajas y desventajas, y daremos consejos útiles para los administradores.

Tipos de autenticación en Maximo

Maximo ofrece varios métodos de autenticación que se pueden configurar de acuerdo con el modelo de seguridad de su empresa. Los tres tipos de autenticación admitidos en Maximo son:

1. Autenticación local o nativa máxima
2. Autenticación LDAP (Protocolo ligero de acceso a directorios)
3. Autenticación SAML (lenguaje de marcado de aserción de seguridad)

Profundicemos en cada una de ellas.

Autenticación local o nativa máxima

La autenticación nativa de Maximo es el método de autenticación predeterminado en el que las credenciales de usuario se almacenan directamente en la base de datos de Maximo. Al iniciar sesión, los usuarios proporcionan su nombre de usuario y contraseña directamente a Maximo y el sistema los valida comparándolos con el valor cifrado de la base de datos de Maximo.

Ventajas:

• Simplicidad: Es fácil de configurar y no requiere integración con sistemas externos.
• Controlar: Los administradores tienen un control total sobre las credenciales de usuario y las políticas de contraseñas a nivel de sistema por sistema.
• Configuración mínima: Ideal para entornos pequeños donde la base de usuarios es limitada.

Desventajas:

• Escalabilidad limitada: A medida que aumenta el número de usuarios, la administración de las credenciales en cada Máximo se vuelve engorrosa.
• Redundancia: Introduce redundancia si otros sistemas de la organización utilizan LDAP u otros servicios de autenticación.
• Seguridad: Almacenar las credenciales en Maximo puede suponer un riesgo para la seguridad, especialmente para las implementaciones a gran escala en las que se prefiere el inicio de sesión único (SSO) y la autenticación multifactor.

Consejos de administración:

• Configure políticas de contraseñas seguras en Maximo para mitigar los riesgos de seguridad.
• Audite periódicamente a los usuarios para garantizar que el acceso esté limitado a quienes lo necesitan.
• Los usuarios de demostraciones, pruebas y control de calidad pueden configurarse fácilmente para casos de uso únicos.

Autenticación LDAP

El LDAP (Lightweight Directory Access Protocol) es un método de autenticación muy utilizado que integra Maximo con servicios de directorio externos como Microsoft Active Directory o Open LDAP. Con LDAP, Maximo delega la autenticación de los usuarios a un servicio externo en lugar de administrar los usuarios de forma local. Al iniciar sesión, los usuarios proporcionan su nombre de usuario y contraseña directamente a Maximo y el sistema los valida con el servicio de directorio externo.

Ventajas:

• Administración centralizada de usuarios: Los usuarios se almacenan y administran en un servicio de directorio central (como Active Directory), lo que facilita su mantenimiento y escalado.
• Inicio de sesión único (SSO): Soporta el inicio de sesión único, lo que reduce la cantidad de credenciales que los usuarios deben recordar.
• Seguridad mejorada: Reduce el riesgo de almacenar credenciales en Maximo, ya que la autenticación se produce fuera de la aplicación.

Desventajas:

• Complejidad: La configuración de la integración de LDAP con Maximo puede ser más compleja y puede requerir experiencia con los servicios de directorio.
• Fiabilidad: Si el servidor LDAP deja de funcionar, es posible que los usuarios no puedan autenticarse, por lo que la redundancia en la configuración de LDAP es fundamental.
• Acceso a la red: Maximo debe tener acceso al servidor LDAP. Si Maximo está en la nube, debe exponer el servidor LDAP a Internet o habilitar la conectividad a través de una VPN.
• Controlar: El administrador de Maximo normalmente no tendrá acceso para crear nuevos usuarios en el directorio externo, creando una dependencia en otro equipo.
• Multifactor: LDAP no admite la autenticación multifactor.

Consejos de administración:

• Asegúrese de que su directorio LDAP tenga alta disponibilidad para evitar problemas de autenticación.
• Use filtros LDAP para restringir el acceso en función de grupos o roles para una mayor seguridad.
• La conectividad LDAP permite utilizar los procesos de sincronización LDAP listos para usar.
• Enlace a la guía de configuración de IBM: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-ldap-authentication

Autenticación SAML

SAML (Security Assertion Markup Language) es un estándar abierto basado en XML para transferir datos de identidad. SAML permite la autenticación federada, lo que significa que Maximo puede delegar la autenticación en un proveedor de identidad (IdP) externo, como Okta o Azure Active Directory. Una vez autenticado, el IdP envía una aserción SAML firmada a Maximo, que otorga acceso al usuario. Al iniciar sesión, se redirige a los usuarios al IdP para que se autentiquen y, una vez autenticados, se los redirige de nuevo a Maximo como usuarios autenticados.

Ventajas:

• Inicio de sesión único (SSO): SAML habilita el SSO, lo que permite a los usuarios acceder a Maximo junto con otras aplicaciones empresariales con un único conjunto de credenciales.
• Autenticación federada: Permite a Maximo integrarse con proveedores de identidad de nivel empresarial para una experiencia de autenticación perfecta en varios sistemas.
• Seguridad mejorada: La autenticación se delega en un IdP, que puede implementar medidas de seguridad más sólidas y centralizadas, como la autenticación multifactor (MFA).
• Acceso a la red: Maximo no requiere acceso directo al IdP como lo requiere LDAP.

Desventajas:

• Configuración compleja: La configuración de SAML requiere configurar tanto Maximo como el IdP, lo que puede resultar difícil para los administradores que no están familiarizados con los protocolos de SSO.
• Dependencia del IdP: Si el IdP no está disponible, es posible que los usuarios no puedan iniciar sesión en Maximo.
• Soporte de terceros: La compatibilidad con SAML está aumentando, pero no todas las aplicaciones de terceros admiten SAML.
• Controlar: El administrador de Maximo normalmente no tendrá acceso para crear nuevos usuarios en el IdP, lo que creará una dependencia en otro equipo.

Consejos de administración:

• Los redireccionamientos automáticos pueden ofrecer una experiencia de usuario perfecta, pero también pueden ser difíciles de solucionar. Una extensión de navegador como SAML-Tracer puede ayudar a proporcionar claridad.
• Configure un método de autenticación alternativo en caso de que el IdP no funcione. Esto puede significar dar acceso a unos pocos administradores seleccionados para que se autentiquen con Local y SAML en MAS.
• Enlace a la guía de configuración de IBM: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-saml-authentication

¿Qué autenticación elegir?

La selección del método de autenticación correcto depende de las necesidades y la infraestructura de su organización. Estas son algunas pautas que le ayudarán a elegir:

• La autenticación nativa/local es la autenticación predeterminada y le permitirá realizar la valoración más rápido. Esto funciona especialmente bien para equipos pequeños y entornos de demostración.
• LDAP es un estándar ampliamente aceptado y es compatible con la mayoría de los equipos de TI y productos para fiestas. Es probable que los entornos locales requieran acceso a la red, pero las implementaciones en la nube suelen requerir una VPN, lo que supone un riesgo, una dependencia adicional y, potencialmente, un coste.
• SAML es la única autenticación que admite la autenticación multifactor. También es un estándar muy utilizado y la mayoría de los equipos de TI lo aceptan como el método de autenticación más seguro.

Los administradores de Maximo siempre deben priorizar las prácticas de administración de usuarios seguras y eficientes. Al elegir el método de autenticación, asegúrese de planificar la escalabilidad, la seguridad y la facilidad de mantenimiento. Si selecciona cuidadosamente el método de autenticación adecuado y lo configura correctamente, puede garantizar una experiencia de usuario segura y fluida para todos los usuarios de Maximo.

Consejos técnicos para Maximo Application Suite

Fuentes de autenticación múltiples

MAS permite a los administradores combinar y combinar las fuentes de autenticación usuario por usuario. En primer lugar, debe configurar las fuentes de autenticación y, a continuación, puede habilitar o deshabilitar el método de autenticación que puede usar cada usuario al crear o editar el registro de usuario.

‍

Conducta de inicio de sesión predeterminada

MAS permite seleccionar un comportamiento de inicio de sesión predeterminado. Se accede a esta configuración en la aplicación de usuario del MAS, en la pestaña Autenticación. Desde aquí, puede controlar el método de autenticación que está disponible en la parte superior de la pantalla de inicio de sesión. Si utiliza SAML, también puede hacer que los usuarios se dirijan al proveedor de identidad predeterminado para la autenticación en lugar de a la página de inicio de sesión de la suite. Si configura el inicio de sesión sin interrupciones, asegúrese de anotar las rutas dedicadas para cualquier otro método de autenticación que desee utilizar. Esta será la clave si alguna vez necesitas usar un método de autenticación que no sea SAML.

Ejemplo de ruta local dedicada: https://auth.demo.maximo.app/idplogin/loginpage?idp=local
Enlace a la documentación de IBM: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=authentication-streamlined-login

‍

Amplía los tiempos de espera de SAML

Al usar SAML en MAS, es posible que desees extender el tiempo de espera de la sesión http y el vencimiento de la ltpa. La elaboración de dos artículos de IBM ha demostrado ser una receta para el éxito.

Añada estas propiedades adicionales a su paquete de servidores de interfaz de usuario:
‍<HttpSession CookieName="jsessionIdUI» cookieSecure="True»
invalidateOnUnauthorizedSessionRequestException="true» invalidationTimeout="12 h»
cookiesAmeSite="LAX» />
<ltpa expiration="480" />

Link to IBM Documentation:

https://www.ibm.com/support/pages/node/7116228
https://www.ibm.com/support/pages/updating-ltpa-timeout-manage‍